CVE-2025-68722
高已发布
Axigen Mail Server 10.5.57 之前版本及 10.6.x 至 10.6.26 之前版本在 WebAdmin 界面中存在跨站请求伪造（CSRF）漏洞，原因在于对 _s（面包屑）参数的处理不当。该应用程序通过 GET 方法接受状态更改请求，并在管理员认证后立即自动处理排队在 _s 参数中的...
- 已发布
- 2026年2月5日
- 已更新
- 2026年2月13日
- 分配 CNA
- mitre
- 观察到的证据
- 2026年8月8日
初级CVSS
8.8/ 10高
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H0.2%
低 · 未来 30 天
- 百分位
- 16.4%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
Axigen Mail Server 10.5.57 之前版本及 10.6.x 至 10.6.26 之前版本在 WebAdmin 界面中存在跨站请求伪造（CSRF）漏洞，原因在于对 `_s`（面包屑）参数的处理不当。该应用程序通过 GET 方法接受状态更改请求，并在管理员认证后立即自动处理排队在 `_s` 参数中的 base64 编码命令。攻击者可构造恶意 URL，当管理员点击后，无需进一步用户交互即可在登录时执行任意管理操作，包括创建恶意管理员账户或修改关键服务器配置。
来源
1Axigen WebAdmin CSRF 漏洞
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。